Bing Ads vieta il supporto tecnico di terze parti contro le truffe Azure

La truffa, che ha sfruttato Bing Ads per la diffusione e Azure Blob Storage per l’hosting delle pagine fraudolente, ha messo in luce una vulnerabilità sistemica e un conflitto d’interessi all’interno delle piattaforme Microsoft.

Un utente che cerca “amazon” su Bing all’inizio di febbraio 2026 poteva imbattersi, tra i primi risultati, in un annuncio a pagamento che prometteva assistenza tecnica.

Cliccandoci, veniva reindirizzato non al sito di e-commerce, ma a una pagina di supporto fittizia, ospitata su un servizio legittimo di Microsoft: Azure Blob Storage.

Lì, veniva invitato a chiamare un numero di telefono per risolvere un fantomatico problema al computer, cadendo così in una classica truffa da tech support scam.

La particolarità, in questo caso, è che l’intera catena di attacco si è svolta all’interno dell’ecosistema Microsoft: la pubblicità malevola era su Bing Ads, il sito truffaldino era su Azure, e il brand impersonato era spesso quello di Microsoft stessa. Una vulnerabilità sistemica che i criminali informatici hanno sfruttato con sorprendente efficacia, colpendo utenti in 48 diverse organizzazioni statunitensi in poche ore.

Microsoft non è nuova a questo tipo di minacce. Già nel 2017, il suo servizio di assistenza clienti ricevette 153.000 segnalazioni di truffe legate al supporto tecnico, con perdite medie per le vittime che andavano dai 200 ai 400 dollari.

La novità dell’ultima ondata sta nella sofisticazione operativa e nell’audacia con cui i threat actor hanno piegato a proprio vantaggio gli strumenti dell’azienda.

Non si tratta più solo di pop-up fasulli o email di phishing, ma di un vero e proprio sfruttamento delle piattaforme pubblicitarie e cloud di Microsoft per dare credibilità e scalabilità all’attacco.

Come funziona l’exploit tecnico dietro gli annunci truffaldini

Il meccanismo è un esempio di “malvertising” evoluto. I criminali creano account su Bing Ads, la piattaforma pubblicitaria di Microsoft, e acquistano spazi per annunci che compaiono in cima ai risultati di ricerca per parole chiave generiche e ad alto volume, come “amazon” o “windows support”. Questi annunci sono studiati per sembrare legittimi, spesso impersonando marchi noti o lo stesso supporto tecnico Microsoft.

Una volta cliccati, non portano direttamente al sito fraudolento.

Invece, attivano una catena di reindirizzamenti attraverso siti intermedi, una tecnica (nota come “redirection chain”) che serve a confondere i sistemi di rilevamento.

Il punto di arrivo finale, però, è la vera innovazione: un container di Azure Blob Storage. Questo servizio cloud, progettato per ospitare in modo economico grandi quantità di dati statici come immagini o file di siti web, viene abusato per servire le pagine di scam.

Per l’utente medio, vedere un dominio *.blob.core.windows.net può non destare sospetti, anzi, potrebbe persino ispirare una falsa fiducia perché associato all’infrastruttura Microsoft.

La pagina web ospitata su Azure replica in tutto e per tutto una schermata di errore di Windows o un avviso di virus, solitamente accompagnata da un numero di telefono da chiamare “urgentemente”.

Da lì, la truffa procede nello schema classico: l’operatore al telefono convince la vittima a concedere l’accesso remoto al computer, a installare software dannoso o a pagare per servizi inesistenti.

Bing Ads non consente la promozione di servizi di supporto tecnico online di terze parti ai consumatori a causa di gravi problemi di qualità che possono influire sulla sicurezza degli utenti finali.

— Microsoft, User Safety Policy Revision (Global) per Bing Ads, Maggio 2016

La policy esiste, ma evidentemente i controlli automatici e umani della piattaforma pubblicitaria hanno mostrato falle. I criminali sono riusciti a far passare annunci chiaramente in violazione di queste regole, sfruttando tecniche di redirezione e hosting su infrastrutture legittime per eludere i filtri.

Microsoft ha strumenti per segnalare annunci spam, ma il processo non è stato abbastanza rapido o efficace da bloccare la campagna prima che raggiungesse migliaia di utenti.

L’ecosistema criminale che alimenta le frodi: dai servizi in abbonamento all’ia

Questa campagna specifica non è un incidente isolato, ma piuttosto un sintomo di un’economia criminale digitale sempre più professionalizzata. Microsoft, attraverso la sua Digital Crimes Unit (DCU), monitora e contrasta diverse gang specializzate. Tra queste, spiccano gruppi come Storm-1152, che vende milioni di account Microsoft fraudolenti ad altri cybercriminali, e RedVDS, un servizio in abbonamento che fornisce macchine virtuali “usa e getta” per rendere le attività fraudolente più economiche e difficili da tracciare.

È proprio questa commodification del crimine che rende possibili attacchi come quelli via Bing Ads. Un truffatore non deve più possedere competenze tecniche elevate: può acquistare account Bing Ads fraudolenti, noleggiare macchine virtuali pulite da RedVDS per gestire le campagne, e affittare spazio su Azure Blob Storage (spesso con carte di credito rubate) per hostare i contenuti malevoli.

Il tutto come un servizio.

Secondo Microsoft, l’attività abilitata da RedVDS ha causato circa 40 milioni di dollari di perdite segnalate solo negli Stati Uniti a partire da marzo 2025.

A complicare il quadro, c’è l’ascesa dell’intelligenza artificiale generativa. Un altro gruppo, Storm-2139, è stato citato in giudizio da Microsoft perché abusava dei servizi Azure OpenAI per generare deepfake illeciti e superare le limitazioni etiche degli strumenti di IA.

Se oggi le pagine di scam sono semplici, domani potrebbero essere popolate da video falsi di “tecnici Microsoft” che parlano, creati in pochi minuti, rendendo la truffa ancora più persuasiva.

La risposta di Microsoft e il conflitto d’interessi strutturale

Di fronte a queste minacce, Microsoft ha annunciato e implementato diverse contromisure. Oltre alla policy del 2016 che vieta gli annunci di supporto tecnico di terze parti, l’azienda ha bloccato oltre 15 milioni di annunci e 25.000 siti legati a queste truffe. Ha anche lanciato campagne di informazione pubblica su Bing, in collaborazione con la FTC, per avvisare direttamente gli utenti che cercano termini associati alle truffe. A livello tecnico, fa parte della sua “Secure Future Initiative” l’introduzione di una policy che obbliga i team di prodotto a valutare e implementare controlli antifrode.

Tuttavia, sorge una domanda fondamentale: fino a che punto un’azienda il cui modello di business si basa in parte sulla vendita di spazi pubblicitari (Bing Ads) e sull’erogazione di servizi cloud self-service (Azure) può essere aggressiva nel controllare e limitare l’uso di queste stesse piattaforme?

C’è un intrinseco conflitto tra la necessità di rendere l’acquisto di annunci e l’apertura di risorse cloud il più semplice e veloce possibile per gli utenti legittimi, e l’esigenza di introdurre verifiche stringenti che potrebbero rallentare o scoraggiare gli affari.

La risposta di Microsoft, finora, sembra oscillare tra l’azione reattiva – dopo che una campagna viene scoperta e segnalata – e iniziative di policy a lungo termine.

Ma l’architettura stessa dei suoi servizi, progettata per la scalabilità e l’automazione, rimane vulnerabile a uno sfruttamento sofisticato.

L’episodio degli annunci su Bing che portano a scam su Azure è emblematico: mostra come la sicurezza non possa essere un insieme di silos separati (sicurezza degli annunci, sicurezza del cloud, sicurezza dell’identità), ma debba essere un approccio olistico che comprenda come questi servizi interagiscono tra loro, spesso in modi non previsti.

La domanda che resta aperta, quindi, non è solo se Microsoft riuscirà a bloccare la prossima campagna di tech support scam, ma se sarà disposta a ripensare alcuni dei flussi operativi e dei compromessi tra convenienza e sicurezza alla base delle sue piattaforme più redditizie.

In un mondo in cui i criminali organizzati operano come startup tech agili, sfruttando ogni interstizio dell’ecosistema digitale, la difesa non può limitarsi a inseguire.

Deve anticipare, anche a costo di rendere il proprio giardino un po’ meno aperto.